Autenticação multifator

A autenticação multifator (MFA) exige que o usuário comprove a identidade duas vezes. Primeiro, o usuário entra com uma senha ou login único. Depois, o Access Manager solicita um código de acesso ou de recuperação antes de emitir os tokens de acesso. A MFA se aplica a contas de usuário. Ela não se aplica a aplicações de máquina a máquina que usam credenciais de cliente. Um login com passkey não pede um segundo fator.

​

Métodos compatíveis

---

Um usuário pode habilitar mais de um método e selecionar um como preferencial. O método preferencial aparece primeiro durante a entrada, mas o usuário pode selecionar outro método habilitado.

​

Como funciona a entrada com MFA

---

1. O usuário entra com uma senha ou login único.
2. O Auth valida o primeiro fator.
3. Se a MFA estiver habilitada para o usuário, o Auth retorna um token de MFA de curta duração em vez de tokens de acesso.
4. O usuário seleciona um dos métodos habilitados.
5. Para email, o Auth envia um código de desafio. Um aplicativo autenticador gera o código localmente.
6. O usuário envia um código de acesso de seis dígitos ou um código de recuperação.
7. O Auth verifica o segundo fator e retorna os tokens de acesso.

Se a organização exigir um método de MFA que o usuário não cadastrou, o Auth responde com o erro AUT-0019 e um token de MFA válido apenas para a adesão. Isso acontece na etapa 3 quando o usuário não tem nenhum método de MFA, ou na etapa 7 quando o usuário tem um método, mas não todos os métodos exigidos. O usuário configura e confirma um dos métodos listados com esse token e, depois, continua a partir da etapa 4 com o mesmo token. Leia Cadastrar um método exigido. O token de MFA expira depois do tempo de sessão configurado no deploy. A adesão durante a entrada não o prolonga. O Auth também limita as tentativas de verificação e de reenvio.

​

Configuração e códigos de recuperação

---

O usuário precisa configurar e verificar um método antes de habilitá-lo. A configuração varia conforme o método:

• A configuração de um aplicativo autenticador retorna uma URL de código QR e um segredo.
• A configuração por email envia um código de verificação ao endereço de email salvo.

O Access Manager emite códigos de recuperação durante a adesão à MFA. A adesão durante a entrada emite um código de recuperação. Cada código de recuperação funciona uma vez. O usuário pode usar um deles quando o método preferencial estiver indisponível. A API pública do Identity pode desabilitar todos os métodos de MFA de uma conta. Essa operação também remove os códigos de recuperação da conta. Para desabilitar a MFA, envie o código que a referência Desabilitar MFA descreve.

​

Ações de autoatendimento

---

Os usuários podem cadastrar e gerenciar os próprios métodos de MFA no Console, em Configurações › Segurança, ou pela API do Identity. Um usuário também pode cadastrar, durante a entrada, um método que a organização exige, pela API do Auth. No Console, um usuário pode habilitar um aplicativo autenticador ou o email, remover um método, escolher o método padrão e gerar códigos de recuperação. O guia do Console cobre a MFA na entrada e a remoção de um método. As operações de autoatendimento da API exigem que o subject autenticado corresponda ao ID de usuário no caminho da requisição.

​

Comportamento em caso de falha e recuperação

---

​

Próximos passos

---